🚀 클라우드 보안 과정 8기 7주차: Docker & Kubernetes 보안 실전 가이드 - 컨테이너 보안부터 클러스터 보안까지

서론

안녕하세요, Twodragon입니다.

지난 6주차에서는 AWS WAF/CloudFront 보안 아키텍처와 GitHub DevSecOps 실전을 다루었습니다. 이번 클라우드 보안 과정 8기 7주차에서는 Docker & Kubernetes 보안 실전 가이드를 통해 컨테이너 보안부터 클러스터 보안까지 실무 중심으로 다루고자 합니다.

특히 이번 주에는 2024-2026년 최신 Kubernetes 보안 기능과 실전 보안 사례를 결합하여, DevSecOps 관점에서 컨테이너 보안을 강화하는 방법을 깊이 있게 다뤄보겠습니다.

본 과정은 온라인 미팅으로 진행되며, ‘20분 강의 + 5분 휴식’ 사이클로 멘티분들의 집중력을 최대로 유지하며 진행됩니다.

📅 7주차 타임테이블 (Agenda)

🌐 1. Docker/Container/Kubernetes 기본 이해

컨테이너와 Kubernetes를 이해하기 전에 기본 개념을 명확히 하는 것이 중요합니다.

1.1 Docker 기본 개념

Docker의 핵심 구성 요소

기본 Docker 명령어

참고: Docker 기본 명령어는 Docker 공식 문서 및 Docker GitHub 저장소를 참조하세요.

# 이미지 다운로드
docker pull nginx:latest

# 컨테이너 실행
docker run -d -p 8080:80 --name my-nginx nginx:latest

# 실행 중인 컨테이너 확인
docker ps

# 컨테이너 로그 확인
docker logs my-nginx

# 컨테이너 중지
docker stop my-nginx

# 컨테이너 삭제
docker rm my-nginx

1.2 Container 이해

VM vs Container 비교

컨테이너 격리 원리

컨테이너는 Linux 커널의 다음 기능을 활용하여 격리를 제공합니다:

1.3 Kubernetes 기본 개념

Kubernetes 핵심 리소스

Kubernetes 아키텍처

참고: Kubernetes 기본 개념은 Kubernetes 공식 문서 및 Kubernetes GitHub 저장소를 참조하세요.

기본 Kubernetes 명령어

# 클러스터 정보 확인
kubectl cluster-info

# Node 목록 확인
kubectl get nodes

# Pod 목록 확인
kubectl get pods

# Namespace 목록 확인
kubectl get namespaces

# Deployment 생성
kubectl create deployment nginx --image=nginx:latest

# Deployment 확인
kubectl get deployments

# Pod 상세 정보 확인
kubectl describe pod <pod-name>

# Pod 로그 확인
kubectl logs <pod-name>

# Pod 삭제
kubectl delete pod <pod-name>

🌐 2. 컨테이너 보안 Best Practices

컨테이너 보안은 DevSecOps의 핵심입니다. 이미지 빌드 단계부터 런타임까지 전 과정에서 보안을 고려해야 합니다.

2.1 Docker 이미지 보안

컨테이너 보안 레이어 (Defense in Depth)

컨테이너 보안은 여러 레이어로 구성된 Defense in Depth 전략을 통해 강화됩니다:

graph TB
    subgraph SecurityLayers["Security Layers"]
        ImageScan["Image Scanning<br/>Trivy, Snyk"]
        SecretMgmt["Secret Management<br/>K8s Secrets, Vault"]
        NonRoot["Non-root User<br/>runAsNonRoot"]
        ReadOnly["Read-only Filesystem<br/>readOnlyRootFilesystem"]
        CapDrop["Capabilities Drop<br/>capabilities.drop: ALL"]
        NetworkPolicy["Network Policies<br/>Pod Isolation"]
    end
    
    App["Application Container"]
    
    ImageScan --> SecretMgmt
    SecretMgmt --> NonRoot
    NonRoot --> ReadOnly
    ReadOnly --> CapDrop
    CapDrop --> NetworkPolicy
    NetworkPolicy --> App
    
    style ImageScan fill:#e1f5ff
    style SecretMgmt fill:#e1f5ff
    style NonRoot fill:#e1f5ff
    style ReadOnly fill:#e1f5ff
    style CapDrop fill:#e1f5ff
    style NetworkPolicy fill:#e1f5ff
    style App fill:#fff4e1

최소 권한 원칙 적용

참고: Docker 보안 모범 사례는 Docker 보안 문서 및 OWASP Docker 보안 체크리스트를 참조하세요.

# 보안 강화 Dockerfile 예시
FROM node:18-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production

FROM node:18-alpine
# 비루트 사용자 생성 및 사용
RUN addgroup -g 1000 -S nodejs && \
    adduser -S nodejs -u 1000
USER nodejs
WORKDIR /app
COPY --from=builder --chown=nodejs:nodejs /app/node_modules ./node_modules
COPY --chown=nodejs:nodejs . .
# 읽기 전용 파일시스템 설정 (런타임에서)
CMD ["node", "server.js"]

이미지 스캔 자동화

# GitHub Actions에서 Trivy 스캔 예시
name: Security Scan
on: [push, pull_request]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'myapp:latest'
          format: 'table'
          exit-code: '1'
          severity: 'CRITICAL,HIGH'

2.2 Secret 관리

Kubernetes Secrets vs External Secrets Operator

참고: External Secrets Operator 설정은 External Secrets Operator 문서 및 AWS Secrets Manager 통합을 참조하세요.

# External Secrets Operator 예시 (AWS Secrets Manager)
apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: app-secrets
spec:
  refreshInterval: 1h
  secretStoreRef:
    name: aws-secrets-manager
    kind: SecretStore
  target:
    name: app-secrets
    creationPolicy: Owner
  data:
    - secretKey: database-password
      remoteRef:
        key: production/database
        property: password

2.3 비루트 사용자 실행

Security Context 설정

# 보안 강화 Pod 예시
apiVersion: v1
kind: Pod
metadata:
  name: secure-app
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  containers:
  - name: app
    image: myapp:latest
    securityContext:
      allowPrivilegeEscalation: false
      readOnlyRootFilesystem: true
      capabilities:
        drop:
        - ALL
    volumeMounts:
    - name: tmp
      mountPath: /tmp
  volumes:
  - name: tmp
    emptyDir: {}

🤖 3. Kubernetes 보안 아키텍처

Kubernetes 클러스터 보안은 다층 방어 전략으로 접근해야 합니다.

3.1 Pod Security Standards (PSS)

PSS 레벨별 정책

Pod Security Standards는 세 가지 보안 레벨을 제공합니다:

graph LR
    Privileged["Privileged<br/>No restrictions<br/>System Pods"]
    Baseline["Baseline<br/>Minimal security<br/>General Apps"]
    Restricted["Restricted<br/>Strongest policies<br/>Sensitive Workloads"]
    
    Privileged --> Baseline
    Baseline --> Restricted
    
    style Privileged fill:#ffebee
    style Baseline fill:#fff4e1
    style Restricted fill:#e8f5e9

# Namespace에 PSS 적용
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: app
  namespace: production
spec:
  template:
    spec:
      securityContext:
        runAsNonRoot: true
        runAsUser: 1000
      containers:
      - name: app
        image: myapp:latest
        securityContext:
          allowPrivilegeEscalation: false
          capabilities:
            drop: ["ALL"]
          readOnlyRootFilesystem: true

3.2 User Namespaces (Kubernetes 1.33+)

컨테이너 격리 강화

User Namespaces는 컨테이너 내 root 사용자를 호스트의 비권한 사용자로 매핑하여 컨테이너 탈출 공격의 위험을 크게 감소시킵니다:

graph TB
    subgraph Host["Host System"]
        HostRoot["Host Root User<br/>UID 0"]
        HostUser["Host Non-root User<br/>UID 1000"]
    end
    
    subgraph Container["Container"]
        ContainerRoot["Container Root<br/>UID 0"]
        ContainerApp["Container App<br/>UID 1000"]
    end
    
    ContainerRoot -->|"User Namespace Mapping"| HostUser
    ContainerApp -->|"Direct Mapping"| HostUser
    HostRoot -->|"Isolated"| ContainerRoot
    
    style HostRoot fill:#ffebee
    style HostUser fill:#e8f5e9
    style ContainerRoot fill:#fff4e1
    style ContainerApp fill:#e1f5ff

User Namespaces는 컨테이너 내 root 사용자를 호스트의 비권한 사용자로 매핑하여 컨테이너 탈출 공격의 위험을 크게 감소시킵니다.

참고: User Namespaces 설정은 Kubernetes 공식 문서 - User Namespaces 및 Kubernetes GitHub 저장소를 참조하세요.

# User Namespace 활성화 Pod 예시 (Kubernetes 1.33+)
apiVersion: v1
kind: Pod
metadata:
  name: isolated-pod
spec:
  hostUsers: false  # User Namespace 활성화 (핵심 설정)
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  containers:
  - name: app
    image: myapp:latest
    securityContext:
      allowPrivilegeEscalation: false
      capabilities:
        drop:
        - ALL
      readOnlyRootFilesystem: true

User Namespace 보안 효과:

3.3 Network Policies

네트워크 트래픽 제어

Network Policies를 통해 Pod 간 통신을 제어하여 방어 깊이를 강화합니다.

# Network Policy 예시
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: app-network-policy
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: myapp
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: frontend
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 8080
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          name: database
    ports:
    - protocol: TCP
      port: 5432

3.4 RBAC 최소 권한 원칙

역할 기반 접근 제어

# RBAC 예시
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: developer
  namespace: production
rules:
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get", "list", "create", "update", "patch"]
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: developer-binding
  namespace: production
subjects:
- kind: User
  name: developer-user
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: developer
  apiGroup: rbac.authorization.k8s.io

📋 4. Kubernetes 보안 Best Practices (2024-2026)

2024-2026년 최신 보안 모범 사례를 반영한 Kubernetes 보안 강화 전략입니다.

4.1 이미지 서명 및 검증

참고: 이미지 서명 및 검증은 Docker Content Trust 문서 및 Cosign GitHub 저장소를 참조하세요.

# Cosign을 사용한 이미지 서명 예시
# 이미지 서명
cosign sign --key cosign.key myregistry.io/myapp:v1.0.0

# 이미지 검증
cosign verify --key cosign.pub myregistry.io/myapp:v1.0.0

4.2 최소 권한 이미지 사용

# 최소 권한 이미지 예시 (Distroless)
FROM gcr.io/distroless/nodejs18-debian11
WORKDIR /app
COPY --chown=nonroot:nonroot . .
USER nonroot:nonroot
CMD ["server.js"]

4.3 런타임 보안 모니터링

참고: Falco 설정은 Falco 공식 문서 및 Falco Kubernetes Operator를 참조하세요.

# Falco Kubernetes Operator 설치 예시
apiVersion: v1
kind: Namespace
metadata:
  name: falco
---
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: falco
  namespace: falco
spec:
  template:
    spec:
      containers:
      - name: falco
        image: docker.io/falcosecurity/falco:latest
        securityContext:
          privileged: true
        volumeMounts:
        - name: host-proc
          mountPath: /host/proc
          readOnly: true
      volumes:
      - name: host-proc
        hostPath:
          path: /proc

4.4 네트워크 세분화 및 정책 적용

4.5 정기적인 보안 감사 및 로깅

# Kubernetes Audit Policy 예시
apiVersion: audit.k8s.io/v1
kind: Policy
rules:
- level: Metadata
  namespaces: ["production"]
  resources:
  - group: ""
    resources: ["secrets", "configmaps"]
- level: RequestResponse
  users: ["system:serviceaccount:*:*"]
  resources:
  - group: ""
    resources: ["pods", "deployments"]

4.6 자동화된 보안 검증 (CI/CD 통합)

4.7 최신 Kubernetes 보안 기능 (2024-2026)

Kubernetes 1.32-1.35 보안 강화 (2024-2025)

Kubernetes 1.36+ 예상 기능 (2026)

참고: Kubernetes 최신 릴리스 정보는 Kubernetes 릴리스 노트 및 Kubernetes 공식 문서를 참조하세요.

Minikube 1.37.0+ 보안 기능 (2025-2026)

K9s 보안 모범 사례 (2025-2026)

📝 5. 실전 보안 강화 사례

보안 엔지니어에게 실전 경험은 이론보다 중요합니다. 이번 주에는 실제 프로젝트에서 적용한 보안 강화 사례를 공유합니다.

💡 멘토의 관점: 컨테이너 보안도 ‘코드’로 관리됩니다.

DevSecOps 워크플로우

컨테이너 보안은 DevSecOps 사이클을 통해 코드로 관리됩니다:

graph LR
    subgraph Dev["Dev Phase"]
        Code["Code<br/>Secure Dockerfile"]
        Build["Build<br/>Image Scanning"]
    end
    
    subgraph Sec["Sec Phase"]
        Scan["Security Scan<br/>Trivy, Snyk"]
        Policy["Policy Check<br/>K8s YAML Validation"]
    end
    
    subgraph Ops["Ops Phase"]
        Deploy["Deploy<br/>Secure Deployment"]
        Monitor["Monitor<br/>Runtime Security"]
    end
    
    Code --> Build
    Build --> Scan
    Scan --> Policy
    Policy --> Deploy
    Deploy --> Monitor
    Monitor --> Code
    
    style Code fill:#e1f5ff
    style Build fill:#fff4e1
    style Scan fill:#ffebee
    style Policy fill:#fff4e1
    style Deploy fill:#e8f5e9
    style Monitor fill:#f3e5f5

많은 분들이 컨테이너 보안을 단순히 설정 파일로 관리하지만, DevSecOps 관점에서는 코드로 관리되는 보안 정책이어야 합니다. 저는 이번 보안 강화 작업을 통해 다음과 같이 DevSecOps 사이클을 적용했습니다.

🔐 실전 사례: 컨테이너 보안 취약점을 어떻게 찾고 고쳤을까?

프로덕션 환경에 배포하기 전, Dockerfile과 Kubernetes 매니페스트를 Trivy로 점검했습니다. 그 결과 High Severity(고위험) 취약점 8건이 발견되었고, 이를 해결한 과정을 상세히 공유합니다.

1. 루트 사용자 실행 (Privilege Escalation 위험)

2. Secret 평문 노출 (Sensitive Data Exposure)

# 수정 전 (취약)
# Dockerfile
ENV DB_PASSWORD=secret123

# 수정 후 (보안 강화)
# Kubernetes Secret
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:
  password: secret123  # 실제 운영에서는 External Secrets Operator 사용
---
# Deployment에서 Secret 사용
apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      containers:
      - name: app
        env:
        - name: DB_PASSWORD
          valueFrom:
            secretKeyRef:
              name: db-secret
              key: password

3. 불필요한 Capabilities 허용

👨‍🏫 멘토의 조언 (Takeaway)

컨테이너 보안은 한 번의 설정으로 끝나는 것이 아닙니다. 지속적인 모니터링과 자동화된 보안 검증을 통해 보안 상태를 유지해야 합니다. 이번 주 실습을 통해 여러분의 컨테이너 환경도 점검해 보세요.

👉 Kubernetes 보안 Best Practices 및 실습 가이드 보러가기

🔧 6. 실습: Minikube 보안 환경 구성

6.1 Minikube 설치 및 보안 설정

# Minikube 최신 버전 설치
brew install minikube  # macOS
# 또는
curl -LO https://storage.googleapis.com/minikube/releases/latest/minikube-linux-amd64
sudo install minikube-linux-amd64 /usr/local/bin/minikube

# 보안 강화 설정으로 시작
minikube start \
  --kubernetes-version=stable \
  --container-runtime=containerd \
  --memory=4096 \
  --cpus=2

# 클러스터 상태 확인
kubectl cluster-info
kubectl get nodes

6.2 Pod Security Standards 적용

# Namespace 생성 및 PSS 적용
kubectl create namespace production
kubectl label namespace production \
  pod-security.kubernetes.io/enforce=restricted \
  pod-security.kubernetes.io/audit=restricted \
  pod-security.kubernetes.io/warn=restricted

# 보안 강화 Pod 배포
kubectl apply -f - <<EOF
apiVersion: v1
kind: Pod
metadata:
  name: secure-app
  namespace: production
spec:
  hostUsers: false  # User Namespace 활성화
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  containers:
  - name: app
    image: nginx:1.25-alpine
    securityContext:
      allowPrivilegeEscalation: false
      readOnlyRootFilesystem: true
      capabilities:
        drop:
        - ALL
    volumeMounts:
    - name: tmp
      mountPath: /tmp
  volumes:
  - name: tmp
    emptyDir: {}
EOF

# Pod 상태 확인
kubectl get pod secure-app -n production
kubectl describe pod secure-app -n production

6.3 이미지 스캔 자동화

# Trivy 설치
brew install trivy  # macOS
# 또는
wget https://github.com/aquasecurity/trivy/releases/latest/download/trivy_0.49.0_Linux-64bit.tar.gz
tar -xzf trivy_0.49.0_Linux-64bit.tar.gz
sudo mv trivy /usr/local/bin/

# 이미지 스캔 실행
trivy image nginx:1.25-alpine

# Kubernetes 클러스터 스캔
trivy k8s cluster --severity HIGH,CRITICAL

✅ 보안 체크리스트

결론

Docker & Kubernetes 보안은 DevSecOps의 핵심입니다. 컨테이너 보안부터 클러스터 보안까지 전 과정에서 보안을 고려해야 합니다.

주요 포인트:

1. Docker/Container/Kubernetes 기본 이해: 이미지, 컨테이너, Pod 개념 이해, VM vs Container 비교
2. 컨테이너 보안 Best Practices: 비루트 실행, 읽기 전용 파일시스템, 최소 Capabilities, 이미지 스캔, Secret 관리
3. Kubernetes 보안 아키텍처: Pod Security Standards, User Namespaces, Network Policies, RBAC
4. Kubernetes 보안 Best Practices (2024-2026): 이미지 서명 및 검증, 런타임 모니터링, 자동화된 보안 검증, 최신 Kubernetes 보안 기능(Kubernetes 1.32-1.35+, Minikube 1.37.0+, K9s)
5. 실전 보안 강화 사례: DevSecOps 관점에서의 보안 강화 워크플로우, 취약점 발견 및 수정 사례
6. 실습: Minikube 보안 환경 구성, Pod Security Standards 적용, 이미지 스캔 자동화

이 가이드를 참고하여 여러분의 컨테이너 환경 보안을 강화하시기 바랍니다.

관련 자료

• Kubernetes 공식 문서
• Kubernetes 보안 Best Practices
• Pod Security Standards
• Minikube 공식 문서
• K9s 공식 문서
• Trivy GitHub 저장소
• External Secrets Operator 문서

마지막 업데이트: 2026-01-15
작성 기준: 클라우드 보안 과정 8기 7주차 강의 자료